CVE-2022-30190

Na segunda-feira, 30 de maio de 2022, a Microsoft emitiu o CVE-2022-30190 referente à vulnerabilidade da Ferramenta de Diagnóstico de Suporte da Microsoft (MSDT) no Windows.

Existe uma vulnerabilidade de execução remota de código quando o MSDT é chamado usando o protocolo URL de um aplicativo chamador, como o Word. Um invasor que explore com sucesso essa vulnerabilidade pode executar código arbitrário com os privilégios do aplicativo chamador. O invasor pode então instalar programas, visualizar, alterar ou excluir dados, ou criar novas contas no contexto permitido pelos direitos do usuário.

https://nvd.nist.gov/vuln/detail/CVE-2022-30190

Visite o diretório sentinel para obter mais informações sobre caça e alertas com o Microsoft Sentinel.

Prova de Conceito

Abaixo estão dois repositórios de POC. Podemos confirmar que a POC de John Hammond funciona. Foi o que usamos para validar os alertas abrindo uma janela do "bloco de notas" através de um documento do Word.

https://github.com/JohnHammond/msdt-follina

https://github.com/onecloudemoji/CVE-2022-30190

Orientações de Mitigação

https://www.sentinelone.com/blog/staying-ahead-of-cve-2022-30190-follina/

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/

Referências

https://nvd.nist.gov/vuln/detail/CVE-2022-30190

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190

https://www.tenable.com/blog/cve-2022-30190-zero-click-zero-day-in-msdt-exploited-in-the-wild#:~:text=CVE-2022-30190%20is%20a%20remote%20code%20execution%20vulnerability%20in,called%20using%20the%20URL%20protocol%20from%20certain%20applications.

https://twitter.com/nao_sec/status/1530196847679401984?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1530196847679401984%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.tenable.com%2Fblog%2Fcve-2022-30190-zero-click-zero-day-in-msdt-exploited-in-the-wild

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-30190